1. 确认Nginx支持防火墙模块

大多数场景下，Nginx通过集成第三方模块（如ModSecurity）实现防火墙功能。执行以下命令验证模块是否已编译：

nginx -V 2>&1 | grep --color modsecurity

若未显示相关模块，需重新编译Nginx并添加--with-http_modsecurity_module参数。

2. 配置全局防火墙规则

2.1 加载核心规则集

在nginx.conf的http上下文中添加以下配置：

modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

2.2 创建主配置文件

在/etc/nginx/modsec/main.conf中定义全局策略：

Include /usr/local/modsecurity/modsecurity.conf
Include /path/to/owasp-modsecurity-crs/crs-setup.conf
Include /path/to/owasp-modsecurity-crs/rules/*.conf

3. 设置运行模式与日志

在modsecurity.conf中修改关键参数：

SecRuleEngine On
SecAuditLog /var/log/modsec_audit.log
SecDebugLog /var/log/modsec_debug.log

4. 验证与重载配置

执行配置检查后重载服务：

nginx -t && nginx -s reload

5. 高级配置建议

• 设置白名单策略：通过SecRuleRemoveById排除误报规则
• 限制请求体大小：SecRequestBodyLimit 13107200
• 启用实时监控：配置syslog或ELK日志分析

6. 常见问题处理

6.1 性能优化

通过设置SecRuleEngine DetectionOnly进行测试，逐步启用阻断模式

6.2 规则更新

git -C /path/to/owasp-modsecurity-crs pull
nginx -s reload